Identity Protection Identity Protection

Risikosignale, Risikopolicies und automatische Remediation für kompromittierte oder verdächtige Identitäten. Risk signals, risk policies, and automatic remediation for compromised or suspicious identities.

Überblick Overview

Identity Protection ist die risikobasierte Erkennungsschicht von Microsoft Entra. Sie sammelt Telemetrie aus Sign-ins, Threat Intelligence und weiteren Microsoft-Sicherheitsquellen, um kompromittierte Konten und verdächtige Anmeldungen sichtbar zu machen. Identity Protection is the risk-based detection layer of Microsoft Entra. It collects telemetry from sign-ins, threat intelligence, and other Microsoft security sources to expose compromised accounts and suspicious sign-ins.

Die wichtigsten Objekte sind Risky users, Risky sign-ins und Risk detections. Darauf bauen Richtlinien für MFA, Passwortänderung, Blockierung und Untersuchungsprozesse auf. The key objects are risky users, risky sign-ins, and risk detections. Policies for MFA, password change, blocking, and investigations build on top of them.

Risikostufen Risk levels

Niedrige Risiken altern nach längerer Zeit aus; mittlere und hohe Risiken bleiben bestehen, bis sie remediated oder manuell bestätigt bzw. verworfen werden. Genau deshalb sollten High-Risk-Ergebnisse nicht liegen bleiben. Low risks age out after time; medium and high risks remain until they are remediated or manually confirmed or dismissed. That is exactly why high-risk results should never be left unattended.

Risikoerkennungen Risk detections

Die folgende Tabelle führt die gängigen Microsoft-Entra-ID-Protection-Detections für Benutzer- und Sign-in-Risiko vollständig zusammen. Einige Erkennungen liefern variable Risikostufen abhängig von der Signalgüte. The following table combines the full list of common Microsoft Entra ID Protection detections for user and sign-in risk. Some detections can surface at variable risk levels depending on signal quality.

Risikorichtlinien Risk policies

Konfiguration Configuration

Sign-in Risk Policy konfigurieren Configure sign-in risk policy

• Entra admin center → Protection → Identity Protection → Sign-in risk policy öffnen.Open Entra admin center → Protection → Identity Protection → Sign-in risk policy.
• Benutzergruppe definieren und Notfallkonten ausschließen.Define the user group and exclude emergency accounts.
• Acceptable sign-in risk level festlegen, typischerweise Medium und High.Set the acceptable sign-in risk level, typically Medium and High.
• Control = Require MFA oder Block access festlegen.Set the control to Require MFA or Block access.
• Erst mit Pilotgruppe testen, dann tenantweit ausrollen.Test first with a pilot group, then roll out tenant-wide.

User Risk Policy konfigurieren Configure user risk policy

• Protection → Identity Protection → User risk policy öffnen.Open Protection → Identity Protection → User risk policy.
• Hochrisikobenutzer auswählen oder alle Benutzer definieren.Select high-risk users or target all desired users.
• Aktion = Require password change bevorzugen, wenn SSPR und Writeback sauber funktionieren.Prefer the action Require password change when SSPR and writeback are working cleanly.
• Für privilegierte Konten kann Block access sinnvoller sein.For privileged accounts, Block access can be the better option.

Registrierungsreife sicherstellen Ensure registration readiness

• Combined Registration und geeignete Recovery-Methoden bereitstellen.Provide combined registration and suitable recovery methods.
• Bei Hybrid Password Writeback vor Aktivierung der User Risk Policy testen.In hybrid estates, test password writeback before enabling the user risk policy.
• Support-Prozess für Benutzer mit blockiertem Zugriff definieren.Define a support process for users who get blocked.

Untersuchung Investigation

Gute Investigation korreliert Identity Protection stets mit Sign-in Logs, Defender-Signalen, Exchange-/SharePoint-Aktivität und gegebenenfalls Endpoint-Daten. Erst die Kombination ergibt ein belastbares Bild. Good investigation always correlates Identity Protection with sign-in logs, Defender signals, Exchange or SharePoint activity, and where available endpoint data. Only the combination creates a trustworthy picture.

Behebung Remediation

Automatische Behebung Automatic remediation

• Sign-in Risk Policy + MFA ermöglicht unmittelbare Self-Remediation während der Anmeldung.Sign-in risk policy plus MFA enables immediate self-remediation during sign-in.
• User Risk Policy + Secure Password Change behebt kompromittierte Benutzer selbständig, sofern SSPR, PHS und Writeback passend konfiguriert sind.User risk policy plus secure password change remediates compromised users automatically when SSPR, PHS, and writeback are configured properly.
• Bei privilegierten Konten sollte Self-Remediation oft durch enges SOC-/IAM-Playbook ergänzt werden.For privileged accounts, self-remediation should often be supplemented by a stricter SOC or IAM playbook.

CA-Integration CA integration

Identity Protection und Conditional Access ergänzen sich: Risk Signale liefern den Kontext, CA setzt die technische Durchsetzung um. Besonders bewährt sind risikobasierte MFA- und Block-Policies. Identity Protection and Conditional Access complement each other: risk signals supply the context, while CA enforces the control. Risk-based MFA and block policies work especially well.

• Sign-in Risk = Medium/High → MFA.Sign-in risk = medium/high → MFA.
• Sign-in Risk = High → Block access.Sign-in risk = high → block access.
• User Risk = High → Require password change.User risk = high → require password change.
• Admins separat modellieren und für High-Risk häufig blockieren statt nur MFA zu fordern.Model admins separately and often block high-risk access instead of only requiring MFA.

PowerShell & Graph PowerShell & Graph

Connect-MgGraph -Scopes "IdentityRiskyUser.ReadWrite.All","IdentityRiskEvent.Read.All"

# List risky users
Get-MgIdentityProtectionRiskyUser

# List risk detections
Get-MgIdentityProtectionRiskDetection

# Confirm a user as compromised
Confirm-MgIdentityProtectionRiskyUserCompromised -RiskyUserId "user@contoso.com"

# Dismiss risk for a user
Dismiss-MgIdentityProtectionRiskyUser -RiskyUserId "user@contoso.com" 

GET https://graph.microsoft.com/v1.0/identityProtection/riskyUsers
GET https://graph.microsoft.com/v1.0/identityProtection/riskDetections

POST https://graph.microsoft.com/v1.0/identityProtection/riskyUsers/confirmCompromised
Content-Type: application/json

{
  "userIds": [
    "11111111-1111-1111-1111-111111111111"
  ]
}

POST https://graph.microsoft.com/v1.0/identityProtection/riskyUsers/dismiss
Content-Type: application/json

{
  "userIds": [
    "11111111-1111-1111-1111-111111111111"
  ]
}

Best Practices Best practices

• Mindestens eine Sign-in-Risk- und eine User-Risk-Policy definieren.Define at least one sign-in risk policy and one user risk policy.
• Trusted Named Locations sauber pflegen, damit Risikoentscheidungen präziser werden.Maintain trusted named locations carefully so risk decisions become more precise.
• Privilegierte Konten mit strengeren Schwellen und getrennten Playbooks behandeln.Handle privileged accounts with stricter thresholds and separate playbooks.
• Identity Protection-Daten täglich überwachen und mit SOC-Workflows koppeln.Review Identity Protection data daily and connect it to SOC workflows.
• Risk detections nicht isoliert lesen, sondern immer mit Sign-in- und Endpoint-Daten korrelieren.Do not read risk detections in isolation; always correlate them with sign-in and endpoint data.

Komplette Risikoerkennungs-ReferenzComplete risk detection reference

Die folgende Referenz führt verbreitete Sign-in- und User-Risk-Detections zusammen. Microsoft erweitert Bezeichner und interne Heuristiken regelmäßig; produktive Automatisierungen sollten deshalb unbekannte Werte tolerieren, aber High-Risk-Ereignisse immer in Incident-Prozesse heben.The following reference consolidates common sign-in and user-risk detections. Microsoft extends identifiers and internal heuristics regularly, so production automations should tolerate unknown values—but always escalate high-risk events into incident processes.

Workload Identity ProtectionWorkload identity protection

Workload Identity Protection überträgt Identity-Protection-Prinzipien auf Service Principals und App-only-Workloads. Im Fokus stehen kompromittierte Secrets oder Zertifikate, anormale API-Nutzung, verdächtige Sign-ins und überprivilegierte Anwendungen.Workload Identity Protection applies Identity Protection principles to service principals and app-only workloads. It focuses on compromised secrets or certificates, anomalous API use, suspicious sign-ins, and overprivileged applications.

Connect-MgGraph -Scopes "IdentityRiskyServicePrincipal.Read.All","Application.Read.All"
Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/beta/identityProtection/riskyServicePrincipals"
Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/beta/identityProtection/servicePrincipalRiskDetections"

Risikobasierte Conditional-Access-RezepteRisk-based Conditional Access recipes

Die stärksten Designs kombinieren Identity Protection mit klar getrennten Benutzerpopulationen. Die folgenden zehn Rezepte sind als Betriebsbausteine gedacht: mit Report-only beginnen, Ausnahmen dokumentieren und für Administratoren immer eine schärfere Variante vorsehen.The strongest designs combine Identity Protection with clearly separated user populations. The following ten recipes are intended as operational building blocks: start in report-only, document exceptions, and always maintain a stricter variant for administrators.